ZONE.CI 全球网

网络安全研究人员发现威胁行为者系统性地利用AI辅助工具加速恶意软件开发，特别是针对终端检测与响应（EDR）的规避技术。该框架集成AI编码助手实现自动化ActiveDirectory侦察、载荷生成和多层隐蔽技术，能够快速将公开安全研究成果武器化。研究显示AI主要作为开发阶段的力量倍增器，虽未嵌入最终恶意软件，但显著降低了攻击工具的开发门槛和迭代周期。

本文系统介绍ActiveDirectory基础架构与安全风险，阐述AD作为企业核心身份认证服务的核心功能及LDAP协议基础。重点解析域控制器NTDS.DIT数据库的存储机制与攻击面，包括密码哈希存储位置、文件保护措施及攻击者常用提取手法。强调AD因集中化凭据管理和信任关系成为攻击首要目标，并概述从初始入侵到完全控制AD的典型攻击路径，提出需通过系统性工程构建防御体系。

本文详细演示了利用HexStrikeAIMCP服务器连接ClaudeDesktop与NetExec工具，通过自然语言指令自动化执行ActiveDirectory渗透测试的全流程。从域用户枚举、AS-REPRoasting、Kerberoasting攻击到密码喷洒获取域管理员权限，再到后渗透阶段的凭证窃取、持久化建立和日志分析，完整覆盖了攻击链。文章强调只读操作优先、CVE检测无害化的实验原则，并提供了防御建议和NetExec命令速查。

本文从ActiveDirectory攻击面扩展视角，重点分析了企业环境中WSUS更新服务与Veeam备份服务器的安全风险。详细介绍了WSUS中未经身份验证的RCE漏洞CVE-2025-59287的利用方式，以及Veeam中允许域用户通过反序列化缺陷获取服务器控制权的CVE-2025-23120漏洞，并阐述了如何通过这些入口点进行横向移动和虚拟化环境渗透。

本文解析AD中SDProp机制，其每60分钟基于AdminSDHolder容器强制重置高权限账户ACL。文章揭示adminCount残留隐患及攻击者篡改AdminSDHolder实现持久化的手法。建议防御方配置SACL监控该容器变更、定期清理孤儿账户并谨慎调整排除策略以加固域安全。

本文介绍了ActiveDirectory域环境中五种高级权限维持技术，包括DiamondTicket、SapphireTickets、DCShadow、DSRM账户后门和SkeletonKey。这些技术通过修改Kerberos票据、滥用复制机制或修补LSASS内存实现持久化控制，强调攻击者利用合法认证流程规避检测。防御者需监控异常Kerberos流量和LSASS行为，并加强域控制器安全配置。

本文是ActiveDirectory安全攻防系列第五篇，重点解析Schema默认权限和SDDL安全描述符定义语言。文章指出AD对象权限有三大来源：Schema默认权限、OU委派和SDProp强制权限，其中Schema默认权限是对象创建时的初始权限模板。详细介绍了SDDL语法结构、权限代码和安全主体代码，并通过实战解析user类的默认安全描述符示例，说明DomainAdmins、System等拥有完全控制权，而用户自身仅有基本读取和更改密码权限。理解这些机制对安全审计和攻防研究至关重要。

攻击者利用AI生成的PowerShell脚本枚举ActiveDirectory，通过RDP和已泄露凭据入侵WindowsServer，部署工具收集AD数据并外泄。事件表明AI降低了攻击门槛，使技术较差的攻击者能快速开发有效工具，但核心攻击链仍与传统手法相似。建议加强凭据管理和监控异常脚本行为。

ClaudeBrain是Encod3d-Sec团队开源的基于LLMWiki模式的红队与漏洞赏金自动化工具，通过500多页技术Wiki、按漏洞类型划分的狩猎技能库、确定性自动化钩子和状态优先的渗透任务模型，将AI打造成有记忆、会学习的渗透测试助手，提升测试效率并实现知识持续积累，仅限授权测试使用。

本文介绍了ActiveDirectory中的机密属性机制，通过设置searchFlags的Bit7（值128）将属性标记为机密，移除AuthenticatedUsers的默认读取权限，仅允许显式授权的主体读取。该机制用于保护敏感数据如LAPS密码，但需注意对应用程序的影响和攻击者可能通过查询Schema识别机密属性。建议防御方将其纳入数据分类和保护策略。

文章通过一起真实入侵案例，分析了AI辅助攻击者生成定制化域侦察脚本的新趋势。攻击者利用AI生成的PowerShell脚本，通过五层回退机制枚举ActiveDirectory信息，并自动压缩外传。文章指出，AI降低了恶意工具的生产门槛，使传统基于特征码的检测面临挑战，强调防御应转向行为分析，关注账号登录、域查询、数据暂存和外部连接等攻击链中的关键行为痕迹。

Certighost是ADCS漏洞，允许低权限域用户冒充域控制器并实现域控接管。攻击者利用chase回退机制，通过提供cdc和rmd属性诱导CA向攻击者控制的主机请求域控制器身份数据，从而签发错误证书。2026年7月更新通过验证cdc目标是否为真实域控制器修复此问题。建议立即应用安全更新并审查ADCS配置。

微软2026年7月单月修复570个漏洞创历史纪录，含3个零日漏洞，其中ADFS与SharePoint权限提升漏洞已被在野利用。漏洞暴增主因是微软引入AI多智能体系统MDASH辅助挖掘缺陷，表明AI正加速重塑网络攻防节奏。建议企业立即部署累积更新，优先处理ADFS、SharePoint及DHCP等关键基础设施漏洞，暂无法修补者可开启AMSI作为缓解措施。

作者以9小时100分通过OSCP考试，分享备考策略：通过谷安培训、挑战实验室和ProvingGrounds练习，使用模板和笔记系统。考试中先快速侦察攻破单机，再系统性攻击AD域，最后攻克剩余机器。关键成功因素包括不跳过挑战实验室、构建强大模板、整理笔记和安排休息。建议考生充分准备并保持冷静。

本文详细介绍了dsamain工具将离线AD数据库挂载为LDAP服务进行侦察的方法，攻击者可借此识别高价值账户与安全组，并利用secretsdump.py等工具提取密码哈希。防御建议包括监控dsamain使用、保护高权限组成员资格、加密数据库文件及实施纵深防御策略。

本文深入分析了ActiveDirectory数据库NTDS.DIT作为核心攻击目标的价值，详细阐述了攻击者如何利用Windows内置的ntdsutil工具结合卷影复制机制，在域控制器运行期间绕过文件锁定创建快照并提取数据库文件及SYSTEM注册表hive。文章进一步揭示了提取后离线破解密码哈希、伪造GoldenTicket等攻击路径，并从监控工具使用、加强物理与虚拟安全、限制工具执行等角度提出了全面的防御策略。核心结论是保护AD不仅需关注逻辑权限，更需防护承载数据库的基础设施安全。

CISA红队演练显示，关键基础设施SOC有效性取决于人和流程而非工具。A组织因运营机制失灵、告警淹没及缺乏上报流程，红队未被察觉即获域高权限。B组织快速响应隔离失陷主机。报告建议修复AD配置缺陷、强制凭据过期、建立文档化上报流程并赋予分析人员处置权限。

网络安全研究人员发现威胁行为者系统性地利用AI辅助工具加速恶意软件开发，特别是针对终端检测与响应（EDR）的规避技术。该框架集成AI编码助手实现自动化ActiveDirectory侦察、载荷生成和多层隐蔽技术，能够快速将公开安全研究成果武器化。研究显示AI主要作为开发阶段的力量倍增器，虽未嵌入最终恶意软件，但显著降低了攻击工具的开发门槛和迭代周期。

本文系统介绍ActiveDirectory基础架构与安全风险，阐述AD作为企业核心身份认证服务的核心功能及LDAP协议基础。重点解析域控制器NTDS.DIT数据库的存储机制与攻击面，包括密码哈希存储位置、文件保护措施及攻击者常用提取手法。强调AD因集中化凭据管理和信任关系成为攻击首要目标，并概述从初始入侵到完全控制AD的典型攻击路径，提出需通过系统性工程构建防御体系。

本文详细演示了利用HexStrikeAIMCP服务器连接ClaudeDesktop与NetExec工具，通过自然语言指令自动化执行ActiveDirectory渗透测试的全流程。从域用户枚举、AS-REPRoasting、Kerberoasting攻击到密码喷洒获取域管理员权限，再到后渗透阶段的凭证窃取、持久化建立和日志分析，完整覆盖了攻击链。文章强调只读操作优先、CVE检测无害化的实验原则，并提供了防御建议和NetExec命令速查。

本文从ActiveDirectory攻击面扩展视角，重点分析了企业环境中WSUS更新服务与Veeam备份服务器的安全风险。详细介绍了WSUS中未经身份验证的RCE漏洞CVE-2025-59287的利用方式，以及Veeam中允许域用户通过反序列化缺陷获取服务器控制权的CVE-2025-23120漏洞，并阐述了如何通过这些入口点进行横向移动和虚拟化环境渗透。

本文解析AD中SDProp机制，其每60分钟基于AdminSDHolder容器强制重置高权限账户ACL。文章揭示adminCount残留隐患及攻击者篡改AdminSDHolder实现持久化的手法。建议防御方配置SACL监控该容器变更、定期清理孤儿账户并谨慎调整排除策略以加固域安全。

本文介绍了ActiveDirectory域环境中五种高级权限维持技术，包括DiamondTicket、SapphireTickets、DCShadow、DSRM账户后门和SkeletonKey。这些技术通过修改Kerberos票据、滥用复制机制或修补LSASS内存实现持久化控制，强调攻击者利用合法认证流程规避检测。防御者需监控异常Kerberos流量和LSASS行为，并加强域控制器安全配置。

本文是ActiveDirectory安全攻防系列第五篇，重点解析Schema默认权限和SDDL安全描述符定义语言。文章指出AD对象权限有三大来源：Schema默认权限、OU委派和SDProp强制权限，其中Schema默认权限是对象创建时的初始权限模板。详细介绍了SDDL语法结构、权限代码和安全主体代码，并通过实战解析user类的默认安全描述符示例，说明DomainAdmins、System等拥有完全控制权，而用户自身仅有基本读取和更改密码权限。理解这些机制对安全审计和攻防研究至关重要。

攻击者利用AI生成的PowerShell脚本枚举ActiveDirectory，通过RDP和已泄露凭据入侵WindowsServer，部署工具收集AD数据并外泄。事件表明AI降低了攻击门槛，使技术较差的攻击者能快速开发有效工具，但核心攻击链仍与传统手法相似。建议加强凭据管理和监控异常脚本行为。